Şirket Laptopu Çalınırsa BitLocker Açık mıydı? Nasıl Kontrol Edilir?

Bir satış müdürünün laptopu havalimanında kayboldu diyelim. İçinde fiyat listeleri, müşteri sözleşmeleri, belki Outlook’a kayıtlı yıllarca birikmiş e-posta var. Sorulacak ilk soru “ne kadar zararı olur” değil, “disk şifreli miydi” sorusudur. Cevap evetse olay bir donanım kaybına iner. Hayırsa, cihazı eline geçiren kişi diski çıkarıp başka bir bilgisayara takar ve Windows parolasına hiç ihtiyaç duymadan her şeyi okur.

Windows parolası diski korumaz. Bu, sahada en sık karşılaştığım yanlış inanış.

BitLocker tam olarak neyi korur?

BitLocker, diskin tamamını şifreleyen Windows özelliğidir. Microsoft’un kendi belgesinde amaç şöyle tarif ediliyor: kaybolan, çalınan ya da usulsüz biçimde elden çıkarılan cihazlardaki verinin açığa çıkmasını önlemek. Anahtar, bilgisayardaki TPM çipinde durur. Disk başka bir makineye takılırsa anahtar yanında gelmez, veri okunamaz.

Korumadığı şeyler de var. Cihaz açık ve oturum kilitsizken çalınırsa ya da kullanıcı kötü amaçlı bir bağlantıya tıklarsa, şifreleme bir işe yaramaz. Disk şifreleme yalnızca “cihaz kapalıyken fiziksel erişim” senaryosunu kapatır, ama bu senaryo laptop kayıplarının neredeyse tamamıdır.

Windows 11’de şifreleme kendiliğinden açılır mı?

Kısmen. Windows’ta “cihaz şifrelemesi” adlı bir kolaylık var ve uygun cihazlarda BitLocker’ı otomatik başlatıyor. Windows 11 24H2 ile birlikte bu özelliğin Modern Standby ve DMA kısıtı gibi ön koşulları kaldırıldı, dolayısıyla daha fazla cihaz otomatik şifrelemeye uygun hale geldi.

Asıl tuzak, kurtarma anahtarının nereye gittiğinde:

Cihaz durumu	Kurtarma anahtarı nerede	Veri korunuyor mu?
Microsoft Entra’ya katılmış (M365 hesabıyla giriş)	Entra ID’ye otomatik yedeklenir	Evet
Active Directory etki alanına katılmış	AD DS’ye yedeklenir (ilke açıksa)	Evet
Yönetici yetkili Microsoft hesabıyla giriş	Kişinin Microsoft hesabına yüklenir	Evet, ama anahtar çalışanın kişisel hesabında
Yalnızca yerel hesap	Yedeklenmez	Disk şifreli görünür, fakat Microsoft belgesine göre cihaz korumasız kalır

Üçüncü satır sık görülür ve sinsidir. Çalışan laptopa kişisel Microsoft hesabıyla girdiyse, şirketin kurtarma anahtarına erişimi olmaz. Çalışan işten ayrıldığında ya da hesabını unuttuğunda ekranda 48 haneli bir sayı sorulur ve elinizde yoktur.

Cihaz başına yedi dakikalık kontrol

Envanterdeki her laptop için şu üç şeye bakıyorum:

1. Şifreleme durumu. Yönetici olarak komut satırında manage-bde -status yazın. “Protection Status: Protection On” görmelisiniz. “Protection Off” ya da “Fully Decrypted” ise cihaz açıkta demektir.
2. Cihazın uygunluğu. msinfo32 içinde “Device Encryption Support” satırı “Meets prerequisites” diyorsa cihaz otomatik şifrelemeye uygundur. TPM yoksa BitLocker yine çalışır ama USB’deki başlangıç anahtarı zorunlu olur; bu da pratikte kimsenin kullanmadığı bir kurgu.
3. Anahtarın yeri. Entra yönetim merkezinde (ya da Intune’da) cihazı açıp BitLocker anahtarının orada görünüp görünmediğine bakın. Görünmüyorsa o cihazda şifreleme açık olsa bile kurtarma yolunuz yok.

Elli cihazlık bir ofiste bunu elle yapmak yarım gün sürer. Intune ile tek bir ilke yazıp rapor çekmek ise dakikalar mertebesinde bir iş, ayrıca yeni cihaz geldiğinde de kendiliğinden uygulanıyor.

Kurtarma ekranı ne zaman çıkar?

Şifreleme açıkken bir gün çalışan “bilgisayar 48 haneli anahtar istiyor” diye arar. Çoğu zaman arıza değil, sistem yaptığı işi yapıyordur. Microsoft’un listesinde şunlar var: BIOS ya da UEFI güncellemesi, TPM’in kapatılması veya sıfırlanması, anakart değişimi, önyükleme sırasının değişmesi, PIN’in birkaç kez yanlış girilmesi, diskin başka bir bilgisayara takılması.

Planlı bir donanım ya da BIOS güncellemesi yapacaksanız önce BitLocker korumasını askıya almak (suspend) gerekir. Disk şifreli kalır, güncelleme sonrası koruma yeniden devreye girer ve anahtar sorulmaz. Bunu bilmeyen destek ekipleri BIOS güncellemesinden sonra yarım saat anahtar arar.

Yalnızca TPM mi, PIN de mi?

Varsayılan kurulum yalnızca TPM kullanır: cihaz açılır, anahtar çipten gelir, kullanıcı Windows giriş ekranına doğrudan düşer. Rahattır, ama kararlı bir saldırgan için ek bir engel yoktur. TPM’e PIN eklemek açılışta ikinci bir doğrulama ister.

Benim görüşüm şu: genel ofis kullanıcısında yalnızca TPM yeterli, çünkü amaç “kaybolan laptop okunamasın”. Yönetici, finans ve hukuk gibi hassas veriyle çalışanlar ile çok seyahat edenlerde PIN’i düşünün. Her cihazda PIN zorlamak, yardım masasına her sabah çağrı olarak döner.

Çalınma anında ne yapılır?

• Cihazı Intune’dan uzaktan kilitleyin veya silin (sıfırlayın), hesaptaki oturumları iptal edin.
• Şifrelemenin açık olduğunu ve anahtarın sizde olduğunu doğrulayın; bu bilgi sonraki adımlarda belirleyici.
• Cihazda kişisel veri varsa ve şifreleme yoksa, KVKK kapsamında ihlal bildirim süresi (72 saat) işler. Şifrelemenin açık olduğunu kayıtla gösterebilmek, olayın değerlendirilmesinde sizi rahatlatan bir belgedir.
• Çalışanın tarayıcıda kayıtlı parolaları varsa hesap parolalarını sıfırlayın.

Sık sorulan sorular

Windows 11 Home’da BitLocker olur mu? Tam BitLocker yönetimi Pro ve üzeri sürümlerde. Home’da yalnızca uygun cihazlarda “cihaz şifrelemesi” gelir ve yönetim seçenekleri sınırlıdır. Şirket cihazlarında Pro kullanın.

Şifreleme bilgisayarı yavaşlatır mı? Modern işlemcilerde donanım hızlandırma var; günlük kullanımda fark hissedilmez. İlk şifreleme sırasında disk kısa süre meşgul olur.

USB bellekler de şifrelenir mi? Cihaz şifrelemesi yalnızca işletim sistemi ve sabit sürücüleri kapsar, USB’yi şifrelemez. Çıkarılabilir sürücüler için BitLocker To Go ayrıca yapılandırılmalı.

Kurtarma anahtarını kim görebilmeli? Sınırlı sayıda kişi: BT yöneticisi ve yardım masası. Anahtarı bilen, o cihazdaki tüm veriyi açabilir. Cihazdan ayrı ve erişimi kayıt altında bir yerde tutulmalı.

Şirketinizdeki laptopların kaçında şifreleme açık, kaçında anahtar Entra’da duruyor, bilmiyorsanız bir envanter çıkarmak iyi bir başlangıç olur. İletişim sayfamızdan yazarsanız cihaz listenizi birlikte tarayalım.